Los investigadores del Equipo de respuesta de inteligencia de seguridad de Akamai (SIRT) descubrieron en junio una campaña activa que emplea un tipo emergente de ataque denominado ProxyJacking. Este método se basa en la explotación de servidores vulnerables del protocolo SSH para lanzar servicios Docker, aprovechando un vector de ataque rentable y emergente.
El mecanismo del ataque
Los actores de amenazas utilizan el acceso remoto mediante SSH para ejecutar scripts maliciosos que reclutan a los servidores de las víctimas en una red proxy legítima, como Peer2Proxy o Honeygain. Estas redes permiten que alguien comparta el ancho de banda de Internet pagando por la dirección IP de los usuarios.
El ataque permite al ciberdelincuente monetizar el uso del ancho de banda adicional de una víctima sin su conocimiento, con solo una fracción de la carga de recursos necesaria para la criptominería. Esto reduce las posibilidades de descubrimiento.
«Esto le permite al atacante monetizar el ancho de banda adicional de una víctima desprevenida, con solo una fracción de la carga de recursos que se requeriría para la criptominería, con menos posibilidades de descubrimiento», escribió Allen West, investigador de seguridad de SIRT.
En pocas palabras, ProxyJacking es un modelo de ataque emergente que se aprovecha de estos servicios y, a gran escala, potencialmente puede generar cientos de miles de dólares por mes en ingresos pasivos para los ciberdelincuentes.
Características del ataque
La idea del secuestro por proxy no es nueva, pero la capacidad de monetizar fácilmente el uso del ancho de banda de alguien como afiliado de las principales empresas es una novedad. Esta característica explica por qué los investigadores están observando más ProxyJacking en el panorama de amenazas.
«Proporcionar un camino simple hacia la ganancia financiera hace que este vector sea una amenaza tanto para el mundo corporativo como para el consumidor promedio», escribió West.
El ProxyJacking también facilita que los actores de amenazas oculten sus huellas al enrutar el tráfico malicioso a través de múltiples nodos antes de llegar al destino final. Esto dificulta la identificación del origen de la actividad dañina para las víctimas o los investigadores.
Funcionamiento del ataque
El primer indicio del ataque que identificaron los investigadores se produjo cuando un atacante estableció varias conexiones SSH a uno de los honeypots de Akamai utilizando un script Bash doblemente codificado en Base64. Al descifrar el script, pudieron observar la secuencia exacta de operaciones del ataque.
El script transformó el sistema comprometido en un nodo de la red proxy Peer2Profit, usando la cuenta especificada por $PACCT como afiliado que se beneficiaría del ancho de banda compartido. El mismo proceso se empleó para una instalación de Honeygain.
«El script fue diseñado para ser sigiloso y robusto, intentando operar independientemente del software instalado en el sistema host», escribió West.
El script ejecuta varias funciones, entre ellas la descarga de una versión real y sin modificar de cURL, una herramienta que permite el intercambio de datos entre un dispositivo y un servidor a través de una terminal. Esta herramienta parece ser todo lo que los atacantes necesitan para que el esquema funcione.
«Si no está presente en el host de la víctima, entonces el atacante la descarga», escribió West.
El ejecutable cancela todos los contenedores que se ejecutan en el nodo para instalar un contenedor Docker y, una vez todo esté en su lugar, el atacante puede salir de la red sin dejar rastro.
Defensa contra ProxyJacking
Dado el aumento de la prevalencia del ataque y la dificultad para identificar a los atacantes originales, las organizaciones deben mantener una vigilancia constante en sus redes para detectar comportamientos anormales.
Para evitar este tipo de ataque, las organizaciones pueden verificar sus servicios Docker que se ejecutan localmente para localizar cualquier recurso no deseado que comparta el sistema. Si encuentran uno, deben investigar la intrusión y determinar cómo se cargó y ejecutó el script, seguido de una limpieza exhaustiva.
También es notable que el ejecutable en forma de la herramienta cURL probablemente sería pasado por alto por la mayoría de las empresas, ya que esa herramienta puede usarse legítimamente.